Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\c4b9b816d8efce4d5b7bdd44da2a1923] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\c4b9b816d8efce4d5b7bdd44da2a1923] 'ImagePath' = 'rundll32.exe "C:\Users\Public\wss_tmp\cr_ws_2.dll" main'
- [HKLM\System\CurrentControlSet\Services\9c35fbf7d81c2219036222f3be814bd4] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\9c35fbf7d81c2219036222f3be814bd4] 'ImagePath' = 'rundll32.exe "C:\Users\Public\wss_tmp\cr_ws.dll" main'
- [HKLM\System\CurrentControlSet\Services\22066537814fd90c7e8317abf712fdf0] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\22066537814fd90c7e8317abf712fdf0] 'ImagePath' = 'rundll32.exe "C:\Users\Public\fee\feeiiad.dll" main'
Создает следующие сервисы
- 'c4b9b816d8efce4d5b7bdd44da2a1923' rundll32.exe "C:\Users\Public\wss_tmp\cr_ws_2.dll" main
- '9c35fbf7d81c2219036222f3be814bd4' rundll32.exe "C:\Users\Public\wss_tmp\cr_ws.dll" main
- '22066537814fd90c7e8317abf712fdf0' rundll32.exe "C:\Users\Public\fee\feeiiad.dll" main
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM msedge.exe
- '%WINDIR%\syswow64\taskkill.exe' /IM chrome.exe
Устанавливает процедуры перхвата сообщений
оконных сообщений:
- Библиотека-обработчик для всех процессов: C:\Users\Public\wss_tmp\cr_ws_2.dll
- Библиотека-обработчик для всех процессов: C:\Users\Public\wss_tmp\cr_ws.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\rundll32.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsb9b94.tmp\vcruntime140.dll
- C:\users\public\fee\feeiiad.dll
- %ProgramFiles(x86)%\wimsys\msg.exe
- %ProgramFiles(x86)%\wimsys\msg.inf
- %ProgramFiles(x86)%\wimsys\uninstall.tar
- C:\users\public\wss_tmp\infile.cab
- C:\users\public\wss_tmp\cr_ws.dll
- C:\users\public\wss_tmp\infile_x64.cab
- C:\users\public\wss_tmp\cr_ws_2.dll
- %WINDIR%\installer\{828abd63-36bd-8e17-09cc-34f13c82a8b0}\fc336f969905df5b524f59cc2f3f836d
- %WINDIR%\installer\{828abd63-36bd-8e17-09cc-34f13c82a8b0}\3ba03e80bc78ee1a74cb54f36d38f908.2.e
- %WINDIR%\installer\{828abd63-36bd-8e17-09cc-34f13c82a8b0}\3ba03e80bc78ee1a74cb54f36d38f908.2
- %WINDIR%\installer\{828abd63-36bd-8e17-09cc-34f13c82a8b0}\0e88ebdc8f6771c6a5a5c94b279a6636.2
- %WINDIR%\installer\{828abd63-36bd-8e17-09cc-34f13c82a8b0}\0e88ebdc8f6771c6a5a5c94b279a6636.2.e
- %TEMP%\nsrbb56.tmp\2.crx
- %TEMP%\nsrbb56.tmp\1.crx
- %TEMP%\nsrbb56.tmp\0.crx
- %TEMP%\nsrbb56.tmp\simplesc.dll
- %TEMP%\nsrbb56.tmp\nsexec.dll
- %TEMP%\nsgd76e.tmp
- %TEMP%\nsrbb56.tmp\inetc.dll
- %TEMP%\nsrbb56.tmp\ipconfig.dll
- %TEMP%\nsrbb56.tmp\md5dll.dll
- %TEMP%\nsrbb56.tmp\system.dll
- %TEMP%\nsrbb56.tmp\moreinfo.dll
- %TEMP%\nsb9b94.tmp\dress2.dat
- %TEMP%\nsb9b94.tmp\system.dll
- %TEMP%\nsb9b94.tmp\msvcp140.dll
- C:\users\public\fee\upd.inf
- %ProgramFiles(x86)%\wimsys\uninstall.exe
Удаляет следующие файлы
- %TEMP%\nsgd76e.tmp
- %TEMP%\nsrbb56.tmp\0.crx
- %TEMP%\nsrbb56.tmp\1.crx
- %TEMP%\nsrbb56.tmp\2.crx
- %TEMP%\nsrbb56.tmp\inetc.dll
- %TEMP%\nsrbb56.tmp\ipconfig.dll
- %TEMP%\nsrbb56.tmp\md5dll.dll
- %TEMP%\nsrbb56.tmp\moreinfo.dll
- %TEMP%\nsrbb56.tmp\nsexec.dll
- %TEMP%\nsrbb56.tmp\simplesc.dll
- %TEMP%\nsrbb56.tmp\system.dll
Сетевая активность
Подключается к
- 'se####atino.info':80
- '4o#####ikfsof.b-cdn.net':80
- 'em##o.info':443
- 'pk#.goog':80
- 'ms###csi.com':80
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://se####atino.info/preinstaller/index.php?ev################################################################################
- http://se####atino.info/preinstaller/index.php?ev#########################################################################################
- http://4o#####ikfsof.b-cdn.net/license_1.28.763.1.dat
- http://se####atino.info/preinstaller/index.php?ev#######################################################################################
- http://se####atino.info/preinstaller/index.php?ev########################################################################################
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://se####atino.info/preinstaller/index.php?ev######################################################################################
Другие
- 'em##o.info':443
UDP
- DNS ASK se####atino.info
- DNS ASK 4o#####ikfsof.b-cdn.net
- DNS ASK em##o.info
- DNS ASK pk#.goog
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: 'Chrome_WidgetWin_1' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM msedge.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /IM chrome.exe' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Edge\ExtensionInstallForcelist /v 1 /t REG_SZ /d liffkepbndfkkknedglekeghaegocokk;file:///C:/Windows/Installer/{828abd63-36bd-8e17-09cc-34f13c...' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\ExtensionInstallForcelist /v 1 /t REG_SZ /d liffkepbndfkkknedglekeghaegocokk;file:///C:/Windows/Installer/{828abd63-36bd-8e17-09cc-34f13c8...' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws_2.dll" main --install-run' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws.dll" main --install-run' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\fee\feeiiad.dll" main -c uninstall' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\fee\feeiiad.dll" main -c install-run' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws_2.dll" main -c cdo "Wimsys"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Edge\ExtensionInstallForcelist /v 1 /t REG_SZ /d liffkepbndfkkknedglekeghaegocokk;file:///C:/Windows/Installer/{828abd63-36bd-8e17-09cc-34f13c...
- '<SYSTEM32>\rundll32.exe' C:\Users\Public\fee\feeiiad.dll main bnnq
- '<SYSTEM32>\rundll32.exe' "C:\Users\Public\fee\feeiiad.dll" main
- '<SYSTEM32>\rundll32.exe' "C:\Users\Public\fee\feeiiad.dll" main -c install-run
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\fee\feeiiad.dll" main -c install-run
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws.dll" main 5HMnRyw87 uRzY3a88R
- '<SYSTEM32>\rundll32.exe' "C:\Users\Public\fee\feeiiad.dll" main -c uninstall
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws_2.dll" main -c cdo "Wimsys"
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\fee\feeiiad.dll" main -c uninstall
- '<SYSTEM32>\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws.dll" main
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws.dll" main --install-run
- '<SYSTEM32>\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws_2.dll" main
- '<SYSTEM32>\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws_2.dll" main --install-run
- '%WINDIR%\syswow64\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws_2.dll" main --install-run
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\ExtensionInstallForcelist /v 1 /t REG_SZ /d liffkepbndfkkknedglekeghaegocokk;file:///C:/Windows/Installer/{828abd63-36bd-8e17-09cc-34f13c8...
- '<SYSTEM32>\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws_2.dll" main LtrNrhSgC wfGVBqgy3
- '<SYSTEM32>\rundll32.exe' "C:\Users\Public\wss_tmp\cr_ws_2.dll" main -c cdo "Wimsys"
